Полностью согласен, что автоматические сканеры много шумят, особенно в сложных проектах. ZAP и Burp помогают быстро сориентироваться, но руками всё равно приходится ковыряться, чтобы отфильтровать ложняк. Ещё часто смотрю логи на предмет странных запросов — иногда именно там и видна настоящая движуха, которую сканер пропустил.